一種基于usb協(xié)議的安全通信方法及其系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明屬于通信技術(shù)領(lǐng)域，具體涉及一種基于USB協(xié)議的安全通信方法及其系統(tǒng)。
【背景技術(shù)】
[0002]隨著互聯(lián)網(wǎng)技術(shù)的提升，各種遠程代理服務(wù)器概念普及以及技術(shù)的拓展，越來越多的設(shè)備可通過自身芯片遠程連接電腦進行瀏覽訪問，有些可能是一些采用包裝來偽造的遠程代理服務(wù)器，這就導致電腦的安全性受到嚴重的影響，隨著連接的設(shè)備可能會攜帶多種潛在問題威脅到電腦的安全。目前為止并沒有全面的認證系統(tǒng)去識別第三方遠程代理服務(wù)器的真?zhèn)巍?br>
【發(fā)明內(nèi)容】

[0003]為了解決現(xiàn)有技術(shù)存在的上述問題，本發(fā)明提供了一種基于USB協(xié)議的安全通信方法及其系統(tǒng)。本發(fā)明通過在PC端對USB設(shè)備主控芯片的數(shù)字身份標識進行安全檢查和驗證，提高了主機加載USB設(shè)備的安全性，有效的保護了主機系統(tǒng)；通過建立與PC端的可信連接，保障了第三方通過USB設(shè)備遠程訪問主機的安全性。
[0004]本發(fā)明所采用的技術(shù)方案為:
[0005]一種基于USB協(xié)議的安全通信方法，其改進之處在于:所述方法包括:
[0006](I)將USB設(shè)備插入PC端接口，截獲由USB設(shè)備發(fā)出的系統(tǒng)操作請求；
[0007](2)觸發(fā)認證服務(wù)器對所述USB設(shè)備的身份信息進行識別，根據(jù)識別結(jié)果判斷其有效性；
[0008](3)若身份信息有效，再次執(zhí)行完整度校驗；校驗通過，建立與PC端的可信連接；
[0009](4)設(shè)置白名單庫，用于存放已建立可信連接的USB設(shè)備信息；其中，所述白名單庫，包括本地白名單庫、網(wǎng)絡(luò)白名單庫和臨時白名單庫；
[0010](5)若身份信息無效或建立與PC端的可信連接失敗時，將帶有危險狀況標注的告警信息推送至PC端。
[0011]優(yōu)選的，所述身份信息為主控芯片無法篡改的且攜帶唯一數(shù)字身份標識的數(shù)字證書和有效性彳g息；
[0012]所述的數(shù)字證書為多種密碼體系下形成的數(shù)字證書，包括PK1、IBE/IBC和CPK體系;
[0013]所述有效性信息，至少包括類型信息、型號信息、版本號信息、供應(yīng)商信息、數(shù)字簽名信息、生效日期和失效日期中任意一項；
[0014]所述驗證USB設(shè)備的身份信息可通過挑戰(zhàn)應(yīng)答方式和私有密碼通訊方式實現(xiàn)；
[0015]所述驗證USB設(shè)備的身份信息可采用非對稱密鑰加密算法和數(shù)字摘要算法。
[0016]優(yōu)選的，所述步驟(3)中再次執(zhí)行完整度校驗包括，PC端接收USB設(shè)備的完整性信息，利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認證；并對認證數(shù)據(jù)進行加密；
[0017]所述連接認證包括tcp連接認證和udp連接認證；
[0018]所述加密采用國密SM算法和AES算法加密，并通過openssl傳輸。
[0019]優(yōu)選的，所述步驟(4)中本地白名單庫包括，在程序初始化安裝時，通過掃描接口掃描生成；所述掃描接口，包括程序安裝接口、軟件掃描接口和網(wǎng)絡(luò)控件掃描接口。
[0020]優(yōu)選的，所述步驟(4)中網(wǎng)絡(luò)白名單庫包括:當PC端將已建立可信連接的USB設(shè)備信息上報至管理中心后，通過管理中心自動生成；并將所有白名單文件均保存在whitelist文件中，對白名單庫中的所有信息提供防篡改保護，禁止非授權(quán)的修改行為，防止改名、更換位置、修改內(nèi)容和刪除操作；
[0021 ] 在默認情況下，僅允許升級程序及升級程序所創(chuàng)建的執(zhí)行程序?qū)Π酌麊螏熘械膱?zhí)行程序進行增、刪、改操作，修改后的可執(zhí)行程序保存在臨時文件中，待操作系統(tǒng)重啟后將臨時文件寫入到臨時白名單庫中。
[0022]優(yōu)選的，所述建立與PC端的可信連接包括
[0023]遠端代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求；PC端響應(yīng)此請求；啟動PC端可信平臺，注冊服務(wù)總線；接受遠端代理服務(wù)器連接請求；
[0024]當雙訪問權(quán)限標識的信息驗證全部通過后，響應(yīng)建立可信連接請求；接收遠端代理服務(wù)器服務(wù)請求，生成遠程瀏覽指令；
[0025]當雙訪問權(quán)限標識的信息驗證未通過，則將該遠端代理服務(wù)器中帶有危險狀況標注的告警信息推送至PC端。
[0026]本發(fā)明基于另一目的提供的一種基于USB協(xié)議的安全通信系統(tǒng)，其改進之處在于:所述系統(tǒng)包括USB設(shè)備和認證服務(wù)器；
[0027]所述USB設(shè)備和認證服務(wù)器至少包含一個接口，用于建立兩者之間的訪問連接。
[0028]優(yōu)選的，所述認證服務(wù)器包括通信模塊、身份驗證模塊、第一分析模塊、第二分析模塊、加密模塊、處理模塊和人機交互模塊；
[0029]所述身份驗證模塊為可編輯識別芯片；所述第一分析模塊和第二分析模塊為可編輯校驗芯片。
[0030]優(yōu)選的，所述通信模塊與身份驗證模塊相接，觸發(fā)所述身份驗證模塊對USB設(shè)備的身份信息進行識別；
[0031]所述身份驗證模塊與第一分析模塊通過CAN總線或數(shù)據(jù)總線相互連接，當身份信息有效時，通過所述第一分析模塊執(zhí)行完整度校驗；校驗通過，與認證服務(wù)器建立可信連接；當身份信息無效時，通過所述第一分析模塊將該無效身份中帶有危險狀況標注的告警信息推送至處理模塊。
[0032]優(yōu)選的，所述第一分析模塊用于接收USB設(shè)備的完整性信息執(zhí)行完整度校驗；利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認證；同時向所述加密模塊發(fā)送信號對認證數(shù)據(jù)進行加密；
[0033]所述第二分析模塊用于校驗遠程代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求，進行遠程代理服務(wù)器中服務(wù)權(quán)限標識與PC端白名單庫服務(wù)列表中USB設(shè)備的權(quán)限標識校驗；
[0034]所述處理模塊用于控制整個系統(tǒng)，接收所述第一分析模塊發(fā)送的完整度校驗結(jié)果，并以圖形及表格的形式發(fā)送至所述人機交互模塊。
[0035]本發(fā)明的有益效果為:
[0036]本發(fā)明首先通過PC端與USB設(shè)備建立安全檢查和驗證，提高了主機的安全性，有效的保護了主機系統(tǒng)，在通過USB設(shè)備的身份信息與第三方遠程代理服務(wù)器去驗證真?zhèn)?，這樣即使第三方遠程代理服務(wù)器存在問題也會第一時間被PC端發(fā)現(xiàn)并采取必要措施，再次通過USB設(shè)備提升了主機的安全性。
【附圖說明】
[0037]圖1是本發(fā)明提供的一種基于USB協(xié)議的安全通信方法示意圖。
[0038]圖2是本發(fā)明提供的一種基于USB協(xié)議的安全通信系統(tǒng)結(jié)構(gòu)示意圖。
【具體實施方式】
[0039]如圖1所示，本發(fā)明提供了一種基于USB協(xié)議的安全通信方法，該方法包括如下步驟:
[0040]1、將USB設(shè)備插入PC端接口，截獲由USB設(shè)備發(fā)出的系統(tǒng)操作請求；
[0041]將USB設(shè)備插入PC端接口，截獲由USB設(shè)備發(fā)出的系統(tǒng)操作請求；身份信息為主控芯片無法篡改的且攜帶唯一數(shù)字身份標識的數(shù)字證書和有效性信息。
[0042]主控芯片的數(shù)字身份標識的存在方式可以是但不限于數(shù)字證書方式；所述的數(shù)字證書是多種密碼體系下形成的數(shù)字簽名證書，包括但不限于PK1、IBE/IBC、CPK體系。
[0043]2、觸發(fā)認證服務(wù)器對所述USB設(shè)備的身份信息進行識別，根據(jù)識別結(jié)果判斷其有效性；
[0044]驗證USB設(shè)備的身份信息，即驗證USB主控芯片的不可抵賴、不可篡改的數(shù)字身份標識。PC端認證服務(wù)器可采用B1S、(U)EF1、嵌入式操作系統(tǒng)和片上操作系統(tǒng)等操作系統(tǒng)服務(wù)器、驗證USB設(shè)備不可篡改、不可抵賴的數(shù)字身份標識通過挑戰(zhàn)應(yīng)答方式、私有密碼通訊等方式實現(xiàn)；所述驗證USB設(shè)備的身份信息過程中使用的算法，包括非對稱密鑰(公鑰，私鑰)加密算法和數(shù)字摘要算法等。
[0045]其中，非對稱密鑰密碼(公鑰，私鑰)算法使用兩個密鑰:公開密鑰和私有密鑰，分別用于對數(shù)據(jù)的加密和解密，即如果用公開密鑰對數(shù)據(jù)進行加密，只有用對應(yīng)的私有密鑰才能進行解密；如果用私有密鑰對數(shù)據(jù)進行加密，則只有用對應(yīng)的公開密鑰才能解密。
[0046]數(shù)字摘要算法(Digital Digest)也稱作為安全HASH編碼法(SHA:Secure HashAlgorithm)。數(shù)字摘要算法用于對所要傳輸?shù)臄?shù)據(jù)進行運算生成信息摘要，它并不是一種加密機制，但卻能產(chǎn)生信息的數(shù)字“指紋”，它的目的是為了確保數(shù)據(jù)沒有被修改或變化，保證信息的完整性不被破壞。
[0047]3、若身份信息有效，再次執(zhí)行完整度校驗；校驗通過，建立與PC端的可信連接；
[0048]USB設(shè)備的身份信息包括以下至少之一:類型信息、型號信息、版本號信息、供應(yīng)商信息、數(shù)字簽名信息、生效日期、失效日期等；再次執(zhí)行完整度校驗包括，PC端接收USB設(shè)備的完整性信息，利用動態(tài)度量法校驗本地動態(tài)度量摘要值，校驗合法后向USB設(shè)備發(fā)送可信連接認證；并對認證數(shù)據(jù)進行加密。
[0049]連接認證包括tcp連接認證和udp連接認證；加密采用國密SM算法和AES算法加密，并通過openssl傳輸。
[0050]當USB設(shè)備的身份信息檢查和驗證通過后，建立與PC端的可信連接；遠端代理服務(wù)器通過USB設(shè)備向PC端發(fā)起建立可信連接請求；PC端響應(yīng)此請求；啟動PC端可信平臺，注冊服務(wù)總線；接受遠端代理服務(wù)器連接請求；雙訪問權(quán)限標識的信息驗證全部通過后，響應(yīng)建立可信連接請求；接收遠端代理服務(wù)器服務(wù)請求，生成遠程瀏覽指令；
[0051]雙訪問權(quán)限標識的信息驗證未通過，則將該遠端代理服務(wù)器中帶有危險狀況標注的告警信息推送至PC端顯示器上顯示。
[0052]具體實施例包括:USB設(shè)備(權(quán)限標識0x00000001)遠端代理服務(wù)器(服務(wù)權(quán)限標識0x00000001)。當遠程代理服務(wù)器通過USB設(shè)備向PC端發(fā)起請求時，使用服務(wù)權(quán)限標識0x00000001，請求在PC端被截獲之后，利用PC端可信平臺提取遠程代理服務(wù)器的服務(wù)權(quán)限標識0x00000001，同時在本地白名單庫服務(wù)列表中尋找USB設(shè)備的權(quán)限標識；并提取USB設(shè)備的權(quán)限標識0x00000001 ;將用戶和服務(wù)的主客體權(quán)限標識進行異或運算(0x00000001xor 0x00000001 = O)，判定通過，則允許其發(fā)起遠程瀏覽請求。
[0053]4、設(shè)置白名單庫，用于存放已建立可信連接的USB設(shè)備信息；其中，所述白名單庫，包括